Brexit: EU-Kommission nimmt Angemessenheitsbeschlüsse für UK an

Die EU-Kommission hat am 28.06.2021 zwei Angemessenheitsbeschlüsse für UK angenommen – einen im Rahmen der Datenschutzgrundverordnung (DSGVO) und einen im Rahmen der Richtlinie zum Datenschutz bei der Strafverfolgung, die unmittelbar in Kraft getreten sind. Damit können personenbezogene Daten ungehindert aus der Europäischen Union nach UK fließen.

1. Hintergrund

Das Handels- und Kooperationsabkommen zwischen der EU und UK enthält eine Selbstverpflichtung der EU und UK zur Aufrechterhaltung hoher Datenschutzstandards. Das Abkommen sieht zudem vor, dass jede im Zuge seiner Umsetzung durchzuführende Datenübermittlung im Einklang mit den maßgeblichen Datenschutzvorschriften der übermittelnden Vertragspartei (im Falle der EU sind dies die DSGVO und die Richtlinie zum Datenschutz bei der Strafverfolgung) stehen müssen.  Das Handels- und Kooperationsabkommen zwischen der EU und dem Vereinigten Königreich sieht ferner eine bedingte Übergangsregelung vor, in deren Rahmen Daten ungehindert aus der EU in das Vereinigte Königreich übermittelt werden können. Der Übergangszeitraum endet am 30.06.2021. Aufgrund der Vorgaben in Art. 44 ff. DSGVO ist für Drittlandsübermittlungen ein Transferinstrument notwendig, was nunmehr durch den Angemessenheitsbeschluss gewährleistet wird.

2. Der Angemessenheitsbeschluss

Die wichtigsten Elemente des Angemessenheitsbeschlusses sind:

Das Datenschutzsystem in UK basiert weiterhin auf denselben Regeln, die galten, als UK noch Mitgliedstaat der EU war. UK hat die Grundsätze, Rechte und Pflichten der DSGVO und der Richtlinie zum Datenschutz bei der Strafverfolgung vollumfänglich in sein heutiges, seit dem Brexit geltendes Rechtssystem übernommen.

In Bezug auf den Zugriff auf personenbezogene Daten durch Behörden in UK (insbesondere aus Gründen der nationalen Sicherheit) sieht das System in UK starke Garantien vor. Insbesondere die Datenerhebungen durch Nachrichtendienste unterliegen der vorherigen Genehmigung durch ein unabhängiges Rechtsorgan. Alle Maßnahmen müssen notwendig und im Hinblick auf das verfolgte Ziel verhältnismäßig sein. Wer sich unrechtmäßiger Überwachungsmaßnahmen ausgesetzt sieht, kann Klage beim Investigatory Powers Tribunal (Gericht für Ermittlungsbefugnisse) einreichen. UK unterliegt zudem der Rechtsprechung des Europäischen Gerichtshofs für Menschenrechte, der Europäischen Menschenrechtskonvention und dem Übereinkommen des Europarats zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten, dem einzigen verbindlichen internationalen Übereinkommen auf dem Gebiet des Datenschutzes. Diese völkerrechtlichen Verpflichtungen sind ein wesentlicher Bestandteil des in den beiden Angemessenheitsbeschlüssen bewerteten Rechtsrahmens.

Die Angemessenheitsbeschlüsse enthalten erstmals eine Verfallsklausel, durch die ihre Geltungsdauer strikt begrenzt wird: Beide Beschlüsse laufen vier Jahre nach ihrem Inkrafttreten aus. Danach könnten sie erneuert werden, falls UK weiterhin ein angemessenes Datenschutzniveau sicherstellt. Während dieser vier Jahre wird die Kommission die Rechtslage in UK weiterhin im Blick behalten und jederzeit eingreifen können, falls UK von dem derzeit bestehenden Datenschutzniveau abweicht. Sollte die Kommission beschließen, die Angemessenheitsbeschlüsse zu erneuern, würde der Annahmeprozess erneut eingeleitet.

Datenübermittlungen für die von UK praktizierte Einwanderungskontrolle sind vom sachlichen Geltungsbereich des im Rahmen der DSGVO angenommenen Angemessenheitsbeschlusses ausgenommen, um einer unlängst ergangenen Entscheidung des Berufungsgerichts von England und Wales über die Gültigkeit und die Auslegung bestimmter Einschränkungen der Datenschutzrechte in diesem Bereich Rechnung zu tragen. Sobald diese Situation nach dem Recht von UK geklärt ist, wird die Kommission die Notwendigkeit dieses Ausschlusses neu prüfen.